Datenschutz

• Spendendaten: Zuwendungsbestätigungen, steuerrechtliche Aufbewahrung, Spenderkommunikation • Newsletter: Informationen über Projekte und Stiftungsarbeit (nur mit Einwilligung) • Webseiten-Technikdaten: Betrieb, Stabilität und Schutz vor Missbrauch • Mein Bereich: Bereitstellung des Spenderportals • Optionaler KI-Chatbot: Beantwortung Ihrer Fragen, wenn Sie den Chat freiwillig nutzen • Optional Bank-Anbindung: automatische Zuordnung eingehender Spenden-Überweisungen zu offenen Spenden (read-only Kontoinformation)

• Spendendaten: 10 Jahre (steuerrechtliche Aufbewahrungspflicht) • Newsletter: bis zum Widerruf Ihrer Einwilligung; unbestätigte Double-Opt-in-Anmeldungen werden nach der Erinnerung automatisch gelöscht • Server-Logs: ca. 7 Tage • Rate-Limiting-Einträge: Minuten bis wenige Stunden • Spender-Sitzung: max. 24 Stunden • KI-Chatverläufe: gemäß interner Löschfristen (nur bei Nutzung des Chatbots) • Bankumsätze (bei aktivierter Anbindung): solange für Zuordnung und Nachvollziehbarkeit der Spendenverarbeitung erforderlich, im Einklang mit steuerlichen Aufbewahrungspflichten; Speicherdauer beim Dienstleister Enable Banking gemäß deren Auftragsverarbeitung / DPA

Wir verwenden keine Marketing- oder Tracking-Cookies von Drittanbietern. Für den normalen Website-Besuch ist daher kein Cookie-Consent-Banner erforderlich. Technisch notwendige Speicherung nur bei konkreter Nutzung: • Spender-Login: Sitzungs-Cookie nach Magic-Link-Anmeldung (24 h) • Optionaler KI-Chatbot: Chat-Sitzungs-ID im lokalen Speicher Ihres Browsers (localStorage), nur wenn Sie den Chat öffnen • Optional Wunder Insights: anonyme Sitzungs-ID in sessionStorage (kein Cookie) sowie Opt-out-Flag in localStorage, wenn Sie widersprechen Schriften werden über Next.js lokal ausgeliefert (kein Laden von Google Fonts im Browser). Sie können localStorage und Cookies jederzeit in Ihren Browser-Einstellungen löschen.

Wir geben Ihre Daten nur weiter, wenn: • Sie ausdrücklich eingewilligt haben • dies zur Vertragsabwicklung erforderlich ist • eine gesetzliche Verpflichtung besteht Eingesetzte Auftragsverarbeiter (Art. 28 DSGVO): • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland - Hosting, Server und E-Mail-Versand (SMTP) (hetzner.com/de/rechtliches/datenschutz) • Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland - Zahlungsabwicklung (stripe.com/de/privacy) Weitere Empfänger bei konkreter Nutzung (kein Marketing-Tracking): • Google LLC, USA (dns.google / Google Public DNS) - bei E-Mail-Adressprüfung auf öffentlichen Formularen (Kontakt, Spende, Newsletter, Projekt-Abo) wird die Domain der eingegebenen E-Mail-Adresse zur MX-/A-Prüfung an Google übermittelt. Keine weiteren Formulardaten. (developers.google.com/speed/public-dns/privacy) • Unsplash, Inc. (images.unsplash.com) - Fallback-/Platzhalterbilder (u. a. Story-Seiten, „Über uns“); beim Laden kann die IP-Adresse des Besuchers an Unsplash übermittelt werden (unsplash.com/privacy) Bei aktivierten optionalen Erweiterungen zusätzlich: • Enable Banking Oy, Otakaari 5, 02150 Espoo, Finnland (EU) - lizenzierter Kontoinformationsdienst (AISP) unter PSD2, Aufsicht FIN-FSA. Read-only Abruf von Salden und Umsätzen des Stiftungskontos (u. a. Gegenpartei-Name, Betrag, Verwendungszweck) zur automatischen Zuordnung eingehender Spenden. Kein Zahlungsauslösedienst (kein PIS), kein Zugriff auf Bank-Logins/PIN/TAN. Verarbeitung in der EU (enablebanking.com/privacy). Mit Enable Banking ist ein Auftragsverarbeitungsvertrag (AVV/DPA) vorzuhalten. • Anthropic PBC, USA - KI-Chatbot und personalisierte Impact Reports (anthropic.com/privacy). Übermittlung auf Grundlage von EU-Standardvertragsklauseln. Anthropic ist der einzige von uns eingesetzte KI-Dienst. • OpenStreetMap Foundation / Nominatim - Adressvorschläge bei Spenden, nur bei Nutzung der PLZ-Suche (openstreetmap.org/privacy) Die Nutzung des KI-Chatbots ist freiwillig. Ohne Chat bleiben Spenden, Newsletter und Information uneingeschränkt nutzbar.